「Microsoft Entra IDのすべてのテナントに対し、認証セキュリティに関する重要な変更についてお知らせします」
と題して、Microsoft からメールが届きました。
概要としては、
2027年2月1日を以て、Microsoft Entra IDにおけるMicrosoft 提供のSMSおよび音声認証が完全に廃止される。
SMSへのパスコードの送信、音声による認証が廃止され、パスキーによる認証が必須になります。
（パスキーとは、スマートフォンやパソコンで、指紋認証、顔認証、PIN を使って本人確認を行う認証方法です。）
今後の予定は以下のとおり。
2026年9月1日以降
SMSまたは音声認証が有効なユーザーに対して、認証完了の際、パスキーが自動的に有効化されます。
2027年2月1日以降
認証方法がSMSまたは音声認証のみであるユーザーに対して、サインインを継続する前にパスキーの登録を求めるブロック画面が表示されます。
お早めにパスキーの設定をしてください。
さて、SMS認証廃止の理由としてMicrosoftは、
「SMS認証は、今や最も脆弱なものの一つであり、パスキーと比較すると、フィッシングやSIM スワップ、リプレイ攻撃に対して、脆弱である。」
としています。
ここで使われるSMSは、スマートフォンの契約時に付与される、日本のいわゆるSMS「メッセージアプリ」とは、少しニュアンスが違うように思います。
「メッセージアプリ」には、LINE や WhatsApp のように、スマートフォンの契約後にwebやスマートフォンから登録できるメッセージアプリがあります。
このようなメッセージアプリでは、本人認証の際に、電話番号を使ったSMS、日本のいわゆるSMS「メッセージアプリ」に認証コードを送ります。
しかし近年、この認証コードを言葉巧みに盗み取る事例が増加しています。
電話番号を使った認証コードは、「このコードは決して誰にも教えないでください」と警告文が添えられて送信されます。それでも。
- 親しい友人を装ったハッカーに認証コードを伝えてしまう。
- 背後に悪意のある人物がいることを気にせずに、コードが書かれたメッセージを開いてしまう。
- マルウェアが仕込まれた端末で、コードを入力してしまう。
その結果、本人のものではない端末で、本人認証が完了してしまう。
アカウントを乗っ取られ、個人情報もデータも全て盗まれてしまう。
アプリを実際に使う本人が、認証コードを安全に扱わない限り、「SMS認証は、今や最も脆弱なものの一つ」となるのです。
パスキーは、端末単位でおこなう本人認証です。
登録した端末で、顔認証や指紋認証、またはPINコードの入力をしない限り、本人認証ができません。
端末を盗まれても、本人の顔や指紋がなければ、またはPINを知らなければ認証できない。
連絡先や取引先情報、買い物履歴や閲覧・入力履歴。
カードも、銀行も、チャージした電子マネーも。
スマートフォンやPCには、個人情報が全て詰まっています。
悪い奴らは、その全てを奪い取るために、フィッシングメールやマルウェアを送りつけてくるのです。
今のところ、顔・指紋認証やPIN の設定は、最も安全な認証方法です。
設定が可能なサービスには全て。
設定することをお勧めします。
